Seguir Sysmon escribe en su propio canal de registro de eventos. En el Visor de eventos es Registros de aplicaciones y servicios → Microsoft → Windows → Sysmon → Operativo. En la línea de comandos es Microsoft-Windows-Sysmon/Operativo, y en disco C:WindowsSystem32winevtLogsMicrosoft-Windows-Sysmon%4Operativo.evtx. Para exportarlo, ejecuta esto desde un indicador elevado:
wevtutil epl "Microsoft-Windows-Sysmon/Operational" C:logssysmon.evtx
Si el canal no existe, Sysmon no está instalado. En la mayoría de las máquinas sigue siendo una herramienta Sysinternals separada que alguien tiene que desplegar.
Sysmon es lo más parecido que tiene Windows a una grabadora de vuelo. Captura árboles de procesos con líneas de comando y hashes completos, conexiones de red por proceso, consultas DNS y cambios en archivos y registros. Prime Core tiene 12074 reglas sigma escritas para los datos de Sysmon, mapeadas a 645 técnicas de MITRE ATT&CK. Aquí te explicamos cómo verificar que está ejecutándose, exportar lo que ha registrado e investigarlo en LogTotal.
Antes de comenzar
¿Está corriendo? Verifica el servicio:
sc query sysmon64
En sistemas de 32 bits el servicio se llama sysmon. Quieres STATE: RUNNING.
¿Qué está registrando? Sysmon registra solo lo que su configuración le indica. Sin un archivo de configuración, obtienes un pequeño conjunto predeterminado basado en la creación de procesos. La mayor parte del valor proviene de una configuración afinada, como la de SwiftOnSecurity o la sysmon-modular de Olaf Hartong. Para ver la actual, ejecuta sysmon64 -c (el binario se encuentra en C:Windows). Guarda esa salida junto a tu exportación. Quien analice el archivo preguntará por qué no hay eventos de red, y la configuración responde eso.
¿Qué tan atrás se remonta? Sysmon es locuaz, y su canal tiene un límite de tamaño como cualquier otro registro. Ejecuta wevtutil gl «Microsoft-Windows-Sysmon/Operational» y verifica maxSize. En un servidor ocupado, un registro de tamaño predeterminado puede cubrir sorprendentemente poco tiempo.
Necesitas un indicador elevado para exportar.
Exporta el registro
En el Visor de eventos, haz clic derecho Operativo debajo de Sysmon y elige Guardar todos los eventos como…, manteniendo el tipo .evtx Desde la línea de comandos, puedes filtrar mientras exportas:
:: últimas 24 horas
wevtutil epl "Microsoft-Windows-Sysmon/Operational" C:logssysmon_24h.evtx /q:"*[System[TimeCreated[timediff(@SystemTime) <= 86400000]]]"
:: solo creación de procesos
wevtutil epl "Microsoft-Windows-Sysmon/Operational" C:logssysmon_proc.evtx /q:"*[System[(EventID=1)]]"
Qué buscar
| ID de evento | Lo que registra | Por qué te importa |
|---|---|---|
| 1 | Creación de procesos, con línea de comando, hashes y padre | La columna vertebral de casi toda investigación |
| 3 | Conexión de red por proceso | A menudo filtrado en las configuraciones debido al volumen |
| 10 | Un proceso abriendo otro | Acceso a lsass.exe es la señal clásica de volcado de credenciales (T1003.001) |
| 11 | Archivo creado | Cargas útiles depositadas, archivos archivados |
| 12,13,14 | Cambios en el registro | Claves de ejecución y otras persistencias |
| 22 | Consulta DNS por proceso | Qué proceso buscó ese dominio |
| 4,16 | Estado del servicio Sysmon y configuración cambiados | Un atacante apagando Sysmon o alterando su configuración |
Si los eventos simplemente se detienen en algún punto, busca el evento 16 o 4 justo antes del vacío. Luego revisa el registro del Sistema para ver si el servicio Sysmon fue detenido.
Sube y revisa en LogTotal
LogTotal lee EVTX de forma nativa, así que no hay nada que convertir. Una cosa que debes saber primero: LogTotal aún no sanitiza archivos EVTX. Trata una carga de EVTX como entregar el archivo en bruto. Úsalo libremente para máquinas de prueba, pero para hosts de producción, obtén un sí de quien maneje los datos primero.
- Sube. Abre logtotal.com y deja caer el archivo.
- Revisa. [PROOF: what the results screen shows for Sysmon data, and how findings map to rules and ATT&CK techniques]
Cuando algo sale mal
| Síntoma | Causa probable | Fix |
|---|---|---|
| No se pudo encontrar el canal especificado | Sysmon no está instalado | Verifica con sc query sysmon64 |
| El canal existe pero contiene casi nada | Sin configuración, o una configuración que filtra casi todo | Verifica sysmon64 -c |
| Eventos de proceso pero sin eventos de red | La configuración excluye el evento 3, lo cual es común | Por diseño; verifica la configuración antes de asumir que no pasó nada |
| Los eventos dejan de aparecer en algún punto | Sysmon detenido, desinstalado o reconfigurado | Busca los eventos 4 y 16, y el registro del Sistema |
| Solo las últimas horas están presentes | El registro está lleno y sobrescribiendo | Verifica maxSize; para historial, usa tu SIEM |
| Acceso denegado | Indicador no está elevado | Ejecutar como administrador |
FAQ
¿Sysmon está instalado por defecto?
En la mayoría de las máquinas, no. Es una descarga gratuita de Sysinternals que despliegas y configuras por ti mismo. Microsoft ha anunciado un Sysmon incorporado para nuevas versiones de Windows, así que verifica con qué se entrega realmente tu sistema.
¿El analista necesita mi configuración de Sysmon?
No para leer los eventos, pero explica los vacíos. Envía la salida de sysmon64 -c junto con la exportación.
¿Hay Sysmon para Linux?
Sí. Escribe en syslog en lugar de un canal EVTX; lo cubriremos en una guía separada.
